Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
Testamento #Berlusconi, 30 milioni a Marcello Dell'Utri. L'ex senatore: "Sono profondamente commosso. Non me l'aspettavo, nonostante il profondo rapporto di amicizia che ci legava. Da stamane non faccio che piangere"
@UltimoraPolitics
#Berlusconi torna in pubblico, e lo fa con un video-messaggio alla convention di Fi a Milano: "Eccomi, sono qui per voi, per la prima volta in camicia e giacca dopo oltre un mese".
Video: AGTW
@UltimoraPolitics
#Berlusconi, nuovo bollettino medico dal San Raffaele: “Nelle ultime 72 ore si è assistito a un ulteriore costante miglioramento della funzionalità respiratoria e renale, con un efficace contenimento della leucocitosi e della sindrome infiammatoria. Il quadro clinico complessivo indica il proseguimento delle cure in ambito intensivo”.
@ultimoralive
Silvio #Berlusconi: "Il Ponte sullo Stretto riparte: è un progetto concreto, che rappresenta l’idea di futuro che abbiamo sempre avuto. Questa volta la sinistra non ci fermerà"
@UltimoraPolitics
Secondo quanto riporta Il Corriere della Sera, #Berlusconi avrebbe detto ai suoi: "Non è vero che non conosco la guerra da ragazzino sono stato sfollato anche io, gli orrori della guerra li ho vissuti".
@UltimoraPolitics
Silvio #Berlusconi: "Con il mondo sull’orlo di una guerra nucleare, io vengo criticato perché sto chiedendo che insieme ai sostegni per l’Ucraina, da sempre condivisi e votati da Forza Italia, si apra immediatamente un tavolo per arrivare alla pace" @UltimoraPolitics
Silvio #Berlusconi: "Con il mondo sull’orlo di una guerra nucleare, io vengo criticato perché sto chiedendo che insieme ai sostegni per l’Ucraina, da sempre condivisi e votati da Forza Italia, si apra immediatamente un tavolo per arrivare alla pace"
@UltimoraPolitics
Silvio #Berlusconi a margine del voto: "Se fossi stato il presidente del Consiglio a parlare con Zelensky non ci sarei mai andato perché stiamo assistendo alla devastazione del suo Paese e alla strage dei suoi soldati e dei suoi civili. Bastava che cessasse di attaccare le due Repubbliche autonome del Donbass e questo non sarebbe accaduto. Giudico, molto, molto negativamente il comportamento di questo signore"
@UltimoraPolitics